Bösartiger Wurm stiehlt SSH-Schlüssel, um sich unerkannt zu verbreiten

Ein "sich selbst modifizierender Wurm" namens SSH-Snake bedroht die Sicherheit ganzer Netzwerke. Entdeckt wurde der Wurm durch die Experten des Sysdig Threat Research-Teams. Ein Trick des Tools ist es, "wurmartige" Verhalten zu vermeiden, um unentdeckt zu bleiben.

SSH-Snake ist ein evolutionärer Schritt

Das geht aus einem neuen Bericht des Online-Magazins Bleeping Computer hervor. Demnach ist SSH-Snake ist ein evolutionärer Schritt in der Malware, die häufig von Bedrohungsakteuren eingesetzt wird.

"Sie ist intelligenter und zuverlässiger, was es den Bedrohungsakteuren ermöglicht, weiter in ein Netzwerk vorzudringen, sobald sie dort Fuß gefasst haben. Die Verwendung von SSH-Schlüsseln ist eine empfohlene Praxis, die SSH-Snake auszunutzen versucht, um sich zu verbreiten. Er ist außerdem Dateilos, was die statische Erkennung erschweren kann", erklärt das Sysdig-Team.


Bei SSH-Snake handelt es sich um ein neues Netzwerk-Mapping-Tool. Dieser Wurm nutzt SSH-Anmeldeinformationen, die auf einem kompromittierten System entdeckt wurden, um sich im gesamten Netzwerk weiterzuverbreiten.

Der Wurm durchsucht automatisch bekannte Speicherorte für Anmelde­informationen und Shell-Verlaufsdateien. SSH-Snake wird daher von Bedrohungs­akteuren aktiv für offensive Operationen eingesetzt. Von herkömmlichen SSH-Würmern unterscheidet sich das Tool auch dadurch, dass er Muster vermeidet, die typischer­weise mit gescripteten Angriffen verbunden sind. So bleibt der Wurm unter dem Radar.

Die Forscher von Sysdig, einem Unternehmen für Cloud-Sicherheit, sagen jedoch, dass SSH-Snake das typische Konzept der lateralen Bewegung auf eine neue Ebene hebt, da es bei der Suche nach privaten Schlüsseln streng vorgeht.

Eine weitere Besonderheit von SSH-Snake ist laut den Forschern die Fähigkeit, sich selbst zu verändern und zu verkleinern, wenn es zum ersten Mal ausgeführt wird. Dies geschieht unter anderem durch das Entfernen von Kommentaren, unnötigen Funktionen und Leerzeichen aus seinem Code.

Anmeldedaten und IP-Adressen abgegriffen

Die Analysten von Sysdig bestätigten, dass SSH-Snake aktiv ist, nachdem sie einen Command-and-Control-Server (C2) entdeckt hatten, der die vom Wurm gesammelten Daten speichert. Bei diesen Daten fanden sie unter anderem Anmeldedaten und IP-Adressen der Opfer.

Download RogueKiller - Malware aufspüren und entfernen Download Malwarebytes Premium - Vierfacher Schutz
Siehe auch: